XTOB

「XTOB」は、バックドア型マルウェアのファミリであり、コマンド＆コントロール（C&C）サーバと通信し、不正リモートユーザから情報やコマンドをを送受信することができます。

このマルウェアの亜種は、Syn フラッド攻撃および「分散型サービス拒否（DDoS）攻撃」、SOCKS プロキシを利用して接続をオープンといったよく知られたコマンドを実行することができます。

マルウェアはまた、感染コンピュータのユーザ名、ホスト名、OSのバージョン、製品IDといったコンピュータの情報を収集します。ファイルのパスや作成された自身のコピーは、感染したコンピュータのOSのバージョンによってかわる可能性があります。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{random file name}.exe
• %Application Data%\Security Data\{random file name}.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Security Data

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• system32

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name}.exe = "%System%\{random file name}.exe”

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name}.exe = "%Application Data%\Security Data\{random file name}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{random file name}.exe = "%System%\{random file name}.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Backdoor commands
• Perform SYN flood
• Perform DDOS
• Sleep
• Delete file
• Download and execute file
• Open a connection using Socks5 Proxy

情報漏えい

マルウェアは、以下の情報を収集します。

• User Name
• Host Name
• OS Version
• Product ID

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}d.to/reloadednet/ping.php
• http://{BLOCKED}d.to/reloadednet/sedo.php/id={Host Name}_{Product ID}&s5_uidx={digit}&os={OS Version}&s5=0&done
• http://{BLOCKED}e.kz/reloadednet/ping.php
• http://{BLOCKED}e.kz/reloadednet/sedo.php
• http://{BLOCKED}t.biz/sb/ping.php
• http://{BLOCKED}t.biz/sb/sedo.php
• http://{BLOCKED}supdate.{BLOCKED}lo.com/ping.php
• http://{BLOCKED}supdate.{BLOCKED}lo.com/sedo.php

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• バックドアコマンド
• SYNフラッド攻撃の実行
• DDoS攻撃の実行
• スリープ
• ファイルの削除
• ファイルのダウンロードおよび実行
• Socks5プロキシを利用して接続をオープン
• 情報の窃取

マルウェアが収集する情報が以下のとおりです。

• ユーザ名
• ホスト名
• OSのバージョン
• 製品ID

ファイルのパスや作成された自身のコピーは、感染したコンピュータのOSのバージョンによってかわる可能性があります。

ファイル名およびレジストリ値の名前＜ランダムなファイル名＞には、以下のいずれかが当てはまります。

• Windows
• Components
• Audio
• Storage
• Profile
• Data
• Resources
• Deamonu
• Loader
• Guard
• WinProtect
• WinShield
• WinGuard

マルウェアは、以下のレジストリ値をクエリーし、製品IDを取得します。

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Product ID